7月第3周業務風控關注 | CVERC釋出預警 不要下載以下十款有害應用

易盾業務風控週報每週呈報值得關注的安全技術和事件，包括但不限於內容安全、移動安全、業務安全和網路安全，幫助企業提高警惕，規避這些似小實大、影響業務健康發展的安全風險。

1.CVERC釋出預警：不要下載以下十款有害應用

國家計算機病毒應急處理中心近期透過網際網路監測發現10款違法有害移動應用存在於移動應用釋出平臺中，提醒廣大手機使用者不要下載這些違法有害移動應用軟體，避免手機作業系統受到不必要的安全威脅。這些違法有害移動應用軟體主要危害涉及惡意傳播和流氓行為兩類，具體如下：

1、惡意廣告外掛：《Candy Crush Saga》、《雷霆戰機》、《推箱子》；

2、危險行為程式碼：《快搶紅包最新版》、《快搶紅包最新版》、《自動搶紅包最新版》、《給點電我就飛》、《經典桌球》、《打地鼠》、《模擬開火車》。

2.成千上萬Mega網盤賬戶登陸資訊遭洩露

據外媒 ZDNet 報導，紐西蘭線上雲端儲存和檔案託管服務公司Mega被發現其平臺中有成千上萬的帳號憑證資訊已在網上被公開發布。被洩露的資訊以文字檔案形式提供，據瞭解這份文字檔案包含超過 15,500 條使用者名稱、密碼和檔名的資料，這意味著這些帳號都曾出現異常登入的情況，並且帳號中的檔名也被爬取了。目前還不知道是誰建立的這份列表，也不知道這些資料是如何被爬取到的。雖然 Mega 提供端到端加密，但登入時沒有使用雙因素身份認證方式，因此攻擊者只需使用登入憑據便可登入每個帳戶，並抓取帳號中檔案的檔名。

3.資料堂涉倒賣公民資訊案：曾0.2元/條買病例

7月11日，資料堂發公告稱，公司某一客戶因出售公民個人資訊被公安機關調查，個別相關人員牽連涉案接受調查。資料堂是一家資料市場服務提供商，主要業務涵蓋資料採集、製作、交易等。資料堂稱擁有超過2000TB的資料，涵蓋金融、信用、醫療、交通等數十大領域的大規模資料，曾在8個月內日均傳輸公民個人資訊1億3千萬餘條，累計傳輸資料壓縮後達4000GB左右。2018年5月9日、7月10日，該案兩次開庭審理完畢，尚待宣判。

4.GDPR施行現狀：只有20%的企業合規

近日，Dimensional調查組織的一項調研發現，在所有受訪公司中，只有20%的企業完全符合GDPR標準，53%正處於實施階段，27%尚未開始實施。調查顯示，歐盟27%的企業為合規狀態，相比之下，美國合規企業為12%，而英國為21%。預計2018年底將會有74%的企業達到合規標準，至2019年底這一數字將達到94%。在GDPR的實施方面，還需要進一步加強。

GDPR被稱作通用資料保護規範，目標是保護歐盟公民免受隱私和資料洩露的影響，同時重塑歐盟的組織機構處理隱私和資料保護的方式。

5.江蘇逮捕多名受僱發動電商網站 DDoS 攻擊的駭客

近日，江蘇省南通市公安局在深入開展打擊整治網路違法犯罪“淨網2018”專項行動中，破獲一起由公安部督辦的電商網站流量攻擊系列案件，控制李某等12名涉案犯罪嫌疑人，查扣電腦、手機等作案工具36部。

客人把攻擊網站的域名和攻擊時間、要求、價格發到QQ群，犯罪嫌疑人透過QQ群接單，然後發動攻擊。這些QQ群還免費提供各種作案所需的“駭客”軟體及相關教程，以“收徒”為名傳授作案方法，並以購買服務的方式作案，已經形成了一個完整的犯罪產業鏈條。

6.美國最大的血液檢測實驗室LabCorp被黑

LabCorp是美國最大的血液檢測實驗室，而LabCorp在近日發表宣告稱，他們遭到了駭客的非法入侵，而這一事件將會讓數百萬的美國公民陷入安全風險之中。

駭客透過LabCorp的漏洞入侵了管理系統，但該公司表明目前無任何未經授權的轉讓或濫用資料的情況發生。為保證資料安全，現已關閉部分設施，並努力恢復全部系統正常運營。

7.“駭客導師”帶大學生徒弟攻擊300家網站，雙雙入獄

據成都商報報導，90後“駭客導師”彭巖（化名）和其學生唐斌（化名）因多次利用駭客技術入侵政府、商業網站，竊取出售個人資訊受到處罰。今年6月，瀘州市江陽區人民法院宣判：犯罪嫌疑人彭巖犯傳授犯罪方法罪，判處有期徒刑1年6個月；犯罪嫌疑人唐斌犯侵犯公民個人資訊罪，判處有期徒刑3年1個月，並處罰金4000元。

8.醫療軟體公司MedEvolve因伺服器漏洞致20多萬患者資訊洩露

MedEvolve是一家美國阿肯色州的醫療軟體公司。在2018年5月11日，當該公司的工作人員在一個FTP伺服器上發現了一個包含患者資料的檔案後，他們注意到了這個漏洞。在2018年3月29日到2018年5月4日期間，該檔案都是可以被公開訪問。他們同時也指出，曾經就有人在2018年3月29日對該檔案進行了非法訪問。

儘管該公司在2018年7月10日才披露了這起資料洩露事件，但databreach.net早已經在5月份就釋出了這一訊息。根據他們在2018年5月16日發表的部落格文章，他們的研究人員發現了一個屬於MedEvolve公司的線上暴露FTP伺服器，其中包含了一個儲存有20.5萬名患者個人資訊的檔案。

9.Robocall公司洩露了美國數十萬選民個人資訊

總部位於弗吉尼亞的robocall公司，近日被安全研究人員發現企業資料庫被曝光，其中包含了數十萬美國選民的個人詳細資訊。

安全公司Kromtech的研究員Bob Diachenko表示，他透過使用名為GrayhatWarfare的線上服務發現了這些資料，這些資料儲存於亞馬遜網路資料服務中心。此類隱私資料不應該暴露在公眾視野，但現在處於完全公開的狀態。

10.公安部：我國首次開展大資料安全整治

據《經濟參考報》記者獲悉，我國正在開展的全國網路安全執法大檢查行動中，首次開展針對大資料安全的整治工作，具體包括大資料的採集、儲存、應用、傳輸、銷燬等全生命週期的監管、安全以及保護。其中一項重點工作是對合法採集內容與非法採集內容進行分類。其中，對於非法採集資訊，將進行集中打擊、銷燬；對合法、合規採集的資訊，則納入保護監管範圍。

公安部網路安全保衛局總工程師郭啟全表示，大資料安全整治是我國近期正在開展的全國網路安全執法大檢查行動中的重要內容，這也是首次將大資料安全納入檢查物件，尤其是針對公民個人資訊的保護將是執法的重中之重。